하드웨어 지갑 콜드카드 취약점으로 비트코인 1600개 유출 사건 발생

최근 하드웨어 지갑인 콜드카드에서 발생한 심각한 보안 취약점으로 인해 약 1600비트코인(BTC), 즉 1억 달러에 해당하는 자금이 탈취되는 사건이 발생했다. 이번 사건은 프랑스 파리의 결혼식에 참석 중이던 스완(Swan) CEO 코리 클립스텐(Cory Klippsten)에게 긴급 메시지를 통해 알려졌다. 문제의 원인은 2021년 3월 배포된 콜드카드의 펌웨어 업데이트에 포함된 보안 결함으로, 이 결함은 사용자 지갑의 프라이빗 키 보안 수준을 약화시켜 5년간 방치됐다.

지난주 목요일부터 시작된 공격은 세 차례에 걸쳐 진행되었으며, 갤럭시 리서치의 분석에 따르면 약 7300개 주소에서 자금이 유출됐다. 스완은 즉각적으로 위험 계정의 출금을 중단하고 사용자를 위한 경고 메시지를 발송했다. 클립스텐 CEO는 "전 직원이 모든 업무를 중단하고 피해자를 지원하기 위해 나섰다"고 밝혔다.

사건 발생 일주일이 지난 현재, 탈취된 자금의 약 90%는 여전히 이동되지 않은 것으로 나타났다. 확인된 공격자 주소는 미국 연방 수사 기관에 전달되었고, 캐나다의 제조사 코인카이트(Coinkite)는 영향을 받은 모든 기기에 대해 패치를 완료했다. 오픈소스 보안 단체인 오픈새츠(OpenSats)의 자원봉사 팀은 150개 이상의 저장소를 점검해 보안 취약점이 콜드카드에 국한된 것을 확인했다.

이번 사건은 자기 보관(self-custody) 방식에 대한 심각한 회의론을 불러일으켰다. 일부에서는 개인 지갑 대신 ETF와 같은 간접 투자 수단을 선택해야 한다고 주장하고 있으나, 클립스텐 CEO는 "사용자들이 자기 보관을 포기하기보다는 더욱 안전한 방법으로 다가가려는 경향이 있다"고 말했다. 실제로 다중서명 기반 서비스인 스완 볼트(Swan Vault)로 자금을 이전하는 경향이 더욱 확산되고 있다.

클립스텐은 이번 사건을 "고통스럽지만 전환점이 될 사건"으로 평가하며, 비트코인 기술이 더욱 강화되는 계기가 될 것이라고 강조했다. 그는 "많은 사용자가 업계에서 권고하는 보안 방법을 지켰음에도 불구하고 피해를 입은 것은 유감이지만, 비트코인은 반취약적이며 보안 도구는 계속해서 발전하고 있다"고 덧붙였다.

결국 이번 사건은 하드웨어 지갑조차 완벽하지 않다는 사실을 보여주었고, 자기 보관 방식 전반에 대한 경각심을 불러일으켰다. 특히, 5년간 방치된 펌웨어 결함이 대규모 해킹으로 이어져 투자자들에게는 보안 업데이트의 중요성을 각인시켰다. 그러나 자금의 대부분이 아직 이동되지 않았고, 해당 취약점이 특정 제품에 국한되었기에 시스템 전체의 붕괴로 해석되지는 않는 상황이다.

따라서, 투자자들은 단일 지갑이나 키에 대한 의존성을 줄이고 멀티시그(다중서명) 방식을 도입하는 등 예방 조치를 강화하는 것이 필수적이다. 정기적인 펌웨어 업데이트와 더불어 오래된 하드웨어의 교체도 필요하다.